要約

  • RIPE NCCのCTO、Sjoerd WolthersはRIPE 93で、近接した二つのデータセンターにまたがる現在のL2ネットワークを、独立した西欧の二拠点に置き換える構想を示した。各拠点内はアクティブ・アクティブ、拠点間は現用・待機とする。
  • 計画には拠点ごとの独立ネットワーク、Proxmox、独立したCephクラスタ、暗号化回線、第三地点へのバックアップが含まれる。詳細設計と調達は進行中で、完了目標は2028年後半だ。

「データセンターが二つある」という説明ほど、安心を安売りしやすい言葉はない。二つの建物が同じネットワークに強く依存していれば、建物の境界は障害の境界にならない。RIPE NCCのRIPE 93公式資料は、まさにその境界を引き直す計画を示した。現状の図では近接した二拠点をL2が横断し、一つのネットワークとして構成する。将来図では、それぞれにネットワーク、計算資源、ストレージを持たせる。現状図は簡略図だが、設計思想の違いは明瞭だ。

更新の理由も設備の寿命だけではない。資料は、一部の回線速度が限界に近づいていること、ストレージとバックアップの性能・冗長性・機能に制約があること、仮想化基盤にベンダー依存があることを挙げる。長年積み重なった相互依存も対象だ。現行構成が具体的な障害を起こしたという発表ではない。これから作る境界を、故障時にも意味のある境界にしたいという提案である。

新しい拠点は西欧の二つの本格的なデータセンター。標準化した設計を採用し、将来ほかの場所にも展開しやすくする。各拠点はN+1の冗長性を持ち、内部で二系統を同時稼働させる。一方、拠点をまたぐ動作は現用・待機だ。RIPE NCCは距離による遅延への対応を理由に挙げた。拠点間は借りた高速回線を端から端まで暗号化し、広域の切替にはグローバルなサービス負荷分散を使う。これは「二拠点なら何でも同時に動く」という宣伝より、ずっと正直な設計だ。

ただし待機系は、電源を入れれば主系になるわけではない。利用者を送り込む先を変える時点で、待機側にどの状態まで届いているか。切替を誰が許可し、戻す順序をどう決めるか。これらは状態を持つサービスに固有の問いだ。番号資源の登録機関では、権威のある記録と公開経路が事業そのものになる。サーバーの生存率だけを示しても、誤った版の記録を公開したら継続とは呼べない。

構成要素は資料に細かく載る。各拠点のネットワークを分離し、ルーター、スイッチ、ファイアウォール、アプリケーション配信装置を冗長化する。アプリケーション層を分け、ネットワーク構成をコードで管理し、主要サービス全体にIPv6を組み込む。通信を原則拒否するファイアウォールと、拠点内に置くWebアプリケーション用ファイアウォールも計画する。仮想化にはProxmox、ストレージにはCephを採り、各センターに独立したクラスタを置く。ハイパーコンバージド構成とSANの双方にCephを使う構想だ。

三つ目の場所は予備のデータセンターとは役割が異なる。バックアップ資料は、暗号化された変更不能なコピーを含む「3-2-1-1-0」戦略を掲げる。Cephのボリュームは復旧時点の要件に応じて二拠点間で複製し、さらに第三地点へバックアップする。Proxmox Backup Server、短い復旧時点が必要な仮想サーバー、物理サーバーやCephボリュームの保護も分けている。待機拠点は一方が使えないときの運転席。バックアップは、悪いデータまで複製したときに戻る場所だ。

事業はまだ設計から移行へ向かう途中にある。現状の評価と要件の定義は終わり、低レベル設計を詰めながら拠点と機器を選定・調達している。設置後にアプリケーションチームが移行する。目標は2028年後半。公開資料にはサービス別の昇格条件、復旧時点の数値、復旧時間や訓練結果がまだない。最初の主要サービスが移り、切替と復帰を試した記録こそ、次に読むべき資料になる。

RIPE NCCは6月の説明で、2019年に始まったクラウド優先の方針から、外部事業者への依存を見直す経緯を語っていた。10月の発表は、その判断を配線と運用の言葉にした。近い二部屋を一つに見せる仕組みをやめるなら、各サービスは自分がどの部屋で、どの記録を根拠に話すのか明らかにしなければならない。

出典：RIPE 93公式スライド、講演の公式ページ、RIPE NCCによる6月の説明。